如何微调 Azure WAF 规则 949110（入站异常分数超出）并调整异常分数阈值

Question

我正在将 Azure Web 应用程序防火墙 (WAF) 与 OWASP 3.2 托管规则集结合使用，最近，由于规则 949110 - 入站异常分数超出，多个合法 API 请求被阻止。 WAF 日志显示此错误如下

我尝试排除上述 request_Uri 和 reguest 标头，但仍然被阻止。 目前 WAF 处于预防模式。它正在检测模式下工作。 怎么解决这个问题。 另外，我尝试使用上述端点和域允许制定自定义规则，但仍然出现 403 错误，如下图所示。

Answer 1

如何微调 Azure WAF 规则 949110（入站异常分数超出）并调整异常分数阈值

要解决此问题，您可以检查日志中是否有“匹配” 操作，并检查大于 5 的异常分数。然后，创建自定义规则或例外以绕过增加异常分数的规则。如果异常分数大于 5，则规则将触发并阻止请求。

当入站异常分数超出时，将触发此规则。这是由其他规则受到影响而导致异常分数增加的。

请按照以下文档了解更多详细信息。

参考： 如何禁用 Microsoft_DefaultRuleSet-2.0-BLOCKING-EVALUATION-949110？ - 微软问答

Web 应用程序防火墙 DRS 规则组和规则

应用网关

创建自定义规则：https://learn.microsoft.com/en-us/azure/web-application-firewall/afds/waf-front-door-custom-rules